OPSEC52 / Неделя 14 — Метаданные сообщений: конверт выдаёт вас

Сквозное шифрование скрывает, что вы сказали. Оно никак не скрывает, что вы это сказали, кому, когда, как часто, откуда и по какому расписанию. Этот внешний конверт — метаданные — нередко выдаёт больше самого сообщения, и в отличие от шифртекста он дёшев в сборе, легко хранится вечно и тривиально ложится в граф. Прослушка выдаёт один разговор; метаданные выдают всю вашу социальную структуру.

Модель угроз: ваш мессенджер-провайдер, его хосты, промежуточные сети и всякий, кто их запросит или взломает. Даже при невзламываемом шифровании они хранят кто/когда/как-часто — отправитель, получатель, метки времени, частоту, IP/локацию, отпечатки устройства, членство в группах — восстанавливая графы контактов, распорядок и личности. «Мы не можем читать ваши сообщения» — не «мы о них ничего не знаем».

Почему конверт важнее письма

Содержимое дорого анализировать и легко шифровать. Метаданные — наоборот: маленькие, структурированные, самоописывающие. «Кто с кем и когда говорил» — это граф, а деанонимизация живёт именно в графах. Бывший директор АНБ сказал прямо: «Мы убиваем людей на основании метаданных». Не нужно читать сообщения диссидента, чтобы свернуть всю его сеть; нужны записи о звонках/сообщениях. Одной частоты контактов хватает, чтобы выдать вашего партнёра, адвоката, источник, врача, сообщников — а изменение шаблона (всплеск ночных сообщений журналисту, затем тишина) само по себе сигнал.

Шифрование — это минимум. Если ваша модель угроз серьёзнее случайного любопытного, настоящее поле боя — конверт.

Что утекает даже при E2E-шифровании

• Социальный граф: пары отправитель ↔ получатель, членство в группах. Главная драгоценность.
• Время и частота: когда вы в сети, задержка ответа, ритм, часовой пояс. Распорядок — это отпечаток.
• Сетевая локация: IP, с которого вы подключаетесь — дом, работа, какая кофейня, какая страна — и, значит, ваши перемещения.
• Идентификаторы, которых требует приложение: номер телефона (Signal, WhatsApp) привязывает каждый «анонимный» чат к SIM, оператору, KYC-покупке.
• Устройство и квитанции: версия приложения, ОС, push-токены, отметки о прочтении, «печатает…» — мелкие подсказки, коррелирующие аккаунты.

Дисциплина: сжать конверт

Отправить сообщение с нулём метаданных нельзя, но можно лишить каждого сборщика значимых полей.

• Выбирайте инструменты, которые структурно хранят меньше. Предпочитайте мессенджеры без номера телефона и с минимумом маршрутных данных — SimpleX (вообще без идентификаторов пользователя, очереди на контакт), Session или Cwtch (через Tor). Signal отлично защищает содержимое и sealed-sender, но требование номера — якорь метаданных; если используете — с номером, не связанным с вашей личностью.
• Разорвите связь сетевой локации. Пускайте мессенджер через Tor или доверенный VPN, чтобы провайдер видел выходной узел, а не ваш домашний IP. Максимальная защита — Tor-нативные мессенджеры (Cwtch, SimpleX через Tor), которые вообще не видят реальный IP.
• Отделите идентификатор от себя. Если номер обязателен, берите не-KYC/одноразовый за наличные или крипту — никогда не свою настоящую SIM.
• Разделяйте по кругам. Разные личности для разных кругов; пусть один аккаунт не сшивает ваши активистский, финансовый и личный графы в единый кластер.
• Добавьте временной шум. Не будьте метрономом. Группируйте ответы, избегайте фиксированного графика, бросьте привычку «всегда в сети» — распорядок и есть отпечаток.
• Уберите лишние подсказки. Отключайте отметки о прочтении и индикаторы набора, где можно; они выдают присутствие и коррелируют аккаунты.

Частые ошибки

• «Оно зашифровано, значит я аноним». Шифрование защищает содержимое, не конверт. У провайдера всё равно есть граф.
• Доверять KYC-привязанному приложению для чувствительных контактов. Номер приваривает каждый чат к вашей настоящей личности, как бы хороша ни была крипта.
• Одно приложение, одна личность, все круги. Аккаунт, который пишет и дилеру, и журналисту, и матери, отдаёт противнику полностью сшитый граф.
• Идеальная регулярность. Писать одному человеку в одно время каждый день — рисовать ту самую линию, что вы прячете.
• Забыть, что метаданные живут дольше сообщения. Исчезающие сообщения стирают содержимое; сохранённые провайдером маршрутные записи не исчезают.

Смотрите также

• Списки xmr.club: приватные мессенджеры и источники не-KYC-номеров — практические инструменты для сжатия конверта.
• Соседние недели OPSEC52: Неделя 13 — метаданные карты, Неделя 6 — отпечаток локали и часового пояса, Неделя 4 — стек VPN/Tor.

OPSEC52 — еженедельная OPSEC-серия xmr.club. Индекс: /opsec. Куратор: Cyber Satoshi